Инцидент 03:47 МСК: отладочный токен с именем пользователя и номером СНИЛС попал в stdout vLLM-воркера. Логи агрегировались через Fluentd в облачный S3 — без шифрования на границе контура. Телеметрия ядра показала исходящее TCP-соединение к 3.221.198.66 (AWS us-east-1). Задержка до первого токена выросла на 210 мс — признак egress-фильтрации. Решение: строгая изоляция контура через WireGuard с AllowedIPs = /32 на каждый хост, PII-санитизация в eBPF-программе на уровне XDP (до попадания в userspace), локальный Loki вместо облака. TCO снизился на 63% — $0.00012/токен против $0.00033 в Azure OpenAI. Суверенный инференс — не опция, а требование ст. 18 152-ФЗ: обработка ПДн должна происходить на территории РФ. Подробнее — https://run-as-daemon.dev/?utm_source=telegram&utm_medium=smm&utm_campaign=rad_ru&utm_content=zaschita-personalnyh-dannyh-152-fz-p